Cum se configurează SSL/HTTPS pentru serverul ownCloud cu Let's Encrypt

Pentru o instanță ownCloud Server găzduită direct, care rulează în spatele unui Apache VirtualHost, calea obișnuită este de a indica un domeniu public către server, de a face site-ul HTTP accesibil și de a rula programul de instalare Apache al Certbot pentru numele de gazdă respectiv. De exemplu, dacă adresa dvs. ownCloud este cloud.example.com, Certbot poate solicita un certificat Let's Encrypt și poate configura Apache să deservească HTTPS cu sudo certbot --apache -d cloud.example.com. Testați site-ul și reînnoirea automată înainte de a vă baza pe el.

Această procedură este pentru o instalare în stil ownCloud Classic 10.16 deservită de Apache pe Ubuntu, așa cum se presupune în ghidul Apache al ownCloud. Dacă rulați ownCloud Classic 11 în Docker, ownCloud spune că HTTPS trebuie configurat pe proxy-ul web din fața containerului. Dacă un furnizor de găzduire sau un proxy invers termină deja TLS, configurați certificatul acolo în loc să încercați să îl instalați în containerul ownCloud.

Verificați dacă această configurație se potrivește serverului dvs.

Let's Encrypt dovedește că controlați numele de domeniu solicitat înainte de a emite un certificat. Pentru provocarea comună HTTP-01, Let's Encrypt trebuie să poată prelua un fișier temporar de pe serverul dvs. prin HTTP public pe portul 80. Același nume de gazdă trebuie să fie rezolvat la endpoint-ul public care deservește site-ul dvs. ownCloud. Traficul HTTPS ajunge apoi la endpoint-ul Apache pe portul 443.

• Aveți un nume de gazdă public, cum ar fi cloud.example.com, și controlați înregistrările sale DNS.
• Numele de gazdă se rezolvă la adresa IP publică a serverului Apache sau a proxy-ului invers public.
• Porturile de intrare 80 și 443 sunt permise prin firewall-ul, routerul și grupul de securitate cloud relevant.
• Apache deservește deja site-ul ownCloud printr-un VirtualHost pentru numele de gazdă respectiv.
• Aveți acces de administrator la mașina care gestionează traficul public HTTP și HTTPS.

Dacă site-ul dvs. se află în spatele unui proxy, a unui echilibrator de încărcare, a unei gazde de container sau a unui panou de control, identificați unde se termină TLS-ul public înainte de a rula Certbot. Un certificat instalat pe mașina greșită nu va securiza conexiunea browser-server. Pentru ownCloud Classic 11, designul Docker acceptat gestionează Apache în interiorul containerului și plasează HTTPS la proxy-ul web.

Pregătiți numele de gazdă ownCloud și site-ul Apache

Folosește un nume de gazdă ownCloud dedicat acolo unde este posibil. ownCloud necesită ca fiecare adresă URL a browserului utilizată pentru conectare să fie listată în fișierul trusted_domainssău config/config.php. Dacă schimbi de la o adresă IP sau un alt nume de gazdă la cloud.example.com, adaugă noua gazdă la o intrare neutilizată din matricea trusted-domains înainte de a testa noua adresă. Nu suprascrie accidental o altă intrare.

Confirmați că HTTP simplu ajunge la site-ul ownCloud dorit înainte de a solicita un certificat. În Apache, VirtualHost ar trebui să identifice numele exact al gazdei cu o ServerNamedirectivă. Instrucțiunile Apache ale ownCloud presupun o configurație VirtualHost și, pe Ubuntu, plasează definițiile site-ului sub /etc/apache2/sites-available/. Căile și numele serviciilor pot diferi pe alte distribuții.

Faceți o copie de rezervă a configurației Apache VirtualHost active înainte de a o modifica. Aceasta vă oferă un punct de recuperare dacă un instalator automat alege site-ul greșit sau creează o gazdă HTTPS conflictuală. Dacă aveți mai multe site-uri pe același server, inspectați VirtualHosturile existente, astfel încât certificatul să fie atașat numelui de gazdă ownCloud, nu site-ului implicit.

Instalați și rulați Certbot pentru Apache

Instalați Certbot urmând instrucțiunile pentru sistemul dvs. de operare și configurația Apache. Instrucțiunile oficiale ale Certbot recomandă pachetul Snap pentru multe instalări Linux, dar disponibilitatea pachetelor și rutele de instalare acceptate depind de distribuție. Evitați să combinați mai multe instalări Certbot din managerul de pachete al sistemului de operare și Snap; comanda apelată certbotar trebui să fie cea al cărei plugin Apache intenționați să îl utilizați.

Pe o gazdă Ubuntu unde Snap este instalat și acceptat, instrucțiunile Certbot arată această cale de instalare:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Dacă Certbot este deja instalat, verificați ce versiune rulează shell-ul dvs. și cum a fost instalat înainte de a adăuga o altă copie. Urmați ghidul de instalare Certbot Apache curent pentru alte opțiuni de instalare acceptate.

Solicitați și instalați certificatul pentru numele dvs. de gazdă ownCloud:

sudo certbot --apache -d cloud.example.com

Înlocuiți cloud.example.comcu numele de gazdă real. Certbot va efectua validarea domeniului și, cu ajutorul programului de instalare Apache, va actualiza Apache pentru a utiliza certificatul emis. Dacă doriți ca un singur certificat să acopere mai multe nume, specificați fiecare nume în mod explicit, de exemplu -d cloud.example.com -d files.example.com. Fiecare nume listat trebuie să indice către un endpoint accesibil și să treacă validarea.

Certbot poate întreba dacă cererile HTTP ar trebui redirecționate către HTTPS. Activarea redirecționării este potrivită odată ce VirtualHost HTTPS funcționează. ownCloud recomandă HTTPS pentru producție și o redirecționare permanentă pentru traficul necriptat. Dacă preferați să gestionați singur configurația Apache, Certbot oferă și un mod doar pentru certificate; utilizați ghidul Apache de la ownCloud pentru a conecta corect fișierele de certificate și VirtualHost, apoi testați configurația înainte de a reîncărca Apache.

Când validarea HTTP nu poate ajunge la serverul dvs.

Metoda HTTP-01 folosește o cale pe /.well-known/acme-challenge/portul 80. Dacă un router redirecționează portul 80 către o altă mașină, un firewall îl blochează sau un alt proxy direcționează acea cale în altă parte, validarea poate eșua chiar dacă pagina ownCloud se încarcă prin HTTPS. Verificați DNS-ul public și redirecționarea porturilor, apoi asigurați-vă că provocarea ACME ajunge la același punct final pe care rulează Certbot.

Dacă furnizorul dvs. de servicii de internet sau politica de rețea blochează portul 80, luați în considerare validarea DNS-01. Aceasta dovedește controlul domeniului printr-o înregistrare TXT DNS și poate emite certificate wildcard, dar automatizarea reînnoirii depinde de faptul dacă furnizorul dvs. DNS are un plugin API adecvat. Evitați plasarea acreditărilor DNS largi pe un server web atunci când sunt disponibile acreditări cu scop restrâns sau o gazdă de validare separată. Nu utilizați o procedură exclusiv HTTP-01 pentru un certificat wildcard.

Verificați Apache și ownCloud după instalare

Înainte de a închide fereastra de întreținere, verificați dacă configurația Apache este validă și dacă Certbot listează noul certificat:

sudo apache2ctl configtest
sudo certbot certificates

Pe Ubuntu, o verificare reușită a sintaxei Apache raportează că configurația este validă. Deschideți https://cloud.example.comîntr-un browser și conectați-vă. Confirmați că browserul afișează un certificat valid pentru numele de gazdă exact și testați un client reprezentativ pentru încărcarea, descărcarea și sincronizarea fișierelor. Dacă ați activat o redirecționare, accesați adresa HTTP și confirmați că aceasta ajunge pe același nume de gazdă HTTPS fără o buclă de redirecționare.

Dacă pagina de conectare ownCloud raportează un domeniu nede încredere, verificați trusted_domainsconfigurația serverului. Dacă browserul redirecționează către un nume de gazdă greșit sau ownCloud generează linkuri HTTP în spatele unui proxy invers, verificați anteturile de gazdă și HTTPS redirecționate ale proxy-ului și setările proxy-ului ownCloud. Aceste setări depind de topologia proxy-ului; nu copiați suprascrierile reverse-proxy într-o instalare directă Apache fără un motiv.

Verificați reînnoirea înainte de a considera lucrarea finalizată

Certificatele standard Let's Encrypt au durată scurtă de viață, așa că reînnoirea trebuie automatizată. Instalările Certbot oferă de obicei un cronometru systemd sau un cron job. Testați reînnoirea în avans cu:

sudo certbot renew --dry-run

O rulare fără verificare verifică calea de reînnoire fără a înlocui certificatul activ. Dacă eșuează, citiți ieșirea Certbot și corectați problema DNS, firewall, challenge-routing sau Apache indicată. Confirmați că există un cronometru sau o sarcină programată cu instrumentele de service ale sistemului de operare; nu presupuneți că reînnoirea este activă doar pentru că a fost emis primul certificat. Păstrați portul 80 disponibil dacă reînnoirea utilizează HTTP-01 sau asigurați-vă că automatizarea DNS-01 poate actualiza în continuare înregistrarea TXT necesară.

Alegeri și capcane comune

Nu activați HSTS includeSubDomainspână când fiecare subdomeniu relevant nu este servit corect prin HTTPS; un antet pe un nume de gazdă afectează modul în care browserele tratează subdomeniile sale. Mai întâi, asigurați-vă că certificatul, redirecționările și reînnoirea sunt fiabile. Apoi, consultați instrucțiunile de consolidare ownCloud pentru HSTS și alte setări TLS corespunzătoare aspectului complet al domeniului dvs.

Documentația a fost verificată pe 6 octombrie 2026. Căile exacte ale fișierelor și comenzile de mai jos presupun Ubuntu cu Apache și ownCloud Classic 10.16; implementările Docker, reverse-proxy, hosting-panel, Nginx și non-Ubuntu necesită instrucțiuni pentru endpoint-ul TLS real.

Referințe: ownCloud 10.16: Configurarea Apache cu Let's Encrypt ; ownCloud 11: îndrumări pentru HTTPS și reverse-proxy ; ownCloud 10.16: domenii de încredere ; Certbot: instalarea și reînnoirea Apache ; Let's Encrypt: tipuri de provocări ; Let's Encrypt: menținerea portului 80 deschis .